Insights
Pesquisa, análise e perspectivas sobre cibersegurança, segurança de IA e proteção do setor financeiro.
Custo real de uma violação de dados no Brasil
O custo de uma violação de dados vai muito além da correção técnica: detecção lenta, sanções da LGPD, resposta e dano reputacional. Entenda os fatores.
Ler artigoCyber Kill Chain: o que é e quais são as 7 etapas
As 7 etapas de um ataque direcionado, do reconhecimento à ação sobre o objetivo, e como a Cyber Kill Chain se compara ao MITRE ATT&CK na defesa.
Ler artigoDevSecOps no CI/CD: SAST, DAST, SCA e o pentest
SAST, DAST, SCA e secrets scanning automatizados no pipeline de CI/CD — o que cada teste cobre, onde entra e por que o pentest continua indispensável.
Ler artigoDPO terceirizado e RIPD: quando contratar
Quando faz sentido contratar um DPO terceirizado, o que exige a LGPD e como se estrutura o RIPD — o Relatório de Impacto à Proteção de Dados.
Ler artigoGap analysis ISO 27001: ISMS em 7 passos
O gap analysis mede a distância entre seus controles e a ISO/IEC 27001. Da lacuna ao certificado: 7 passos do ISMS, estágios 1 e 2 e auditoria interna.
Ler artigoGestão de vulnerabilidades vs. pentest
Gestão de vulnerabilidades cobre amplitude e continuidade; o pentest prova profundidade e impacto. Veja as diferenças, a cadência e como combiná-los.
Ler artigoISO 42001 e EU AI Act: guia de adequação
A ISO/IEC 42001 define o sistema de gestão de IA; o EU AI Act impõe obrigações por nível de risco. Como as duas se relacionam e o caminho de adequação.
Ler artigoArt. 46 da LGPD: pentest como evidência
O art. 46 da LGPD exige medidas de segurança aptas. Veja como um pentest testa esses controles e produz a evidência de diligência exigida pela ANPD.
Ler artigoO que é governança de IA: pilares e adoção
Governança de IA define papéis, políticas e controles para operar IA com segurança e conformidade. Pilares, ISO/IEC 42001, NIST AI RMF e implementação.
Ler artigoPCI MPoC: o que é e quem precisa no Brasil
PCI MPoC é o padrão que transforma um smartphone comum em terminal de pagamento. Veja como difere de SPoC e CPoC e quem precisa dele no Brasil.
Ler artigoO que é Pentest? Como Funciona, Tipos e Fases
Pentest (teste de invasão) é o ataque simulado e autorizado que identifica vulnerabilidades antes dos criminosos. Veja tipos, fases e quando fazer.
Ler artigoO que é pentest de IA? Como funciona, quando fazer
Pentest de IA: o que é, como funciona por fases, quando fazer e como as categorias do OWASP LLM Top 10 2025 se aplicam a chatbots, agentes e RAG.
Ler artigoO que é prompt injection? Tipos e defesas
Prompt injection: definição, diferença entre direto e indireto, exemplos em chatbots, agentes e RAG, por que é o LLM01 do OWASP e quais defesas funcionam.
Ler artigoO que é Red Team? Simulação de adversário
Red Team é a simulação de um adversário real, de ponta a ponta, para testar não só as falhas, mas a capacidade de detecção e resposta da empresa.
Ler artigoPCI DSS v4.0.1: o que mudou
PCI DSS v4.0.1 esclarece a v4.0 sem novos requisitos. Desde março de 2025 os requisitos antes 'boas práticas' são obrigatórios, inclusive o pentest 11.4.
Ler artigoPentest agêntico com Berghem Agents: como funciona
Pentest agêntico usa agentes de IA que perseguem um objetivo, encadeiam falhas e mantêm o especialista no controle. Como funciona e onde estão os limites.
Ler artigoPentest e conformidade BACEN: CMN 4.893 e BCB 85
As resoluções de segurança cibernética do BACEN exigem política, resposta a incidentes e testes periódicos. Veja como o pentest gera a evidência exigida.
Ler artigoPentest mobile OWASP MASVS/MASTG: o que é testado
Como um pentest mobile guiado por OWASP MASVS e MASTG avalia apps Android e iOS: armazenamento, criptografia, autenticação, rede, plataforma e resiliência.
Ler artigoQuanto custa um pentest? Guia de Preços 2026
Quanto custa um pentest? Veja faixas de preço, o que influencia o custo (escopo, IPs, web/API/mobile) e como orçar com a Berghem. Guia 2026.
Ler artigoRansomware: proteção, resposta e recuperação
Como uma empresa se protege, detecta, responde e se recupera de ransomware — o que fazer nas primeiras horas e por que o backup decide o desfecho.
Ler artigoSegurança de APIs no Open Finance: FAPI e mTLS
No Open Finance, a API é o perímetro. Veja como testar FAPI, mTLS, Dynamic Client Registration e a jornada de consentimento — e as falhas mais recorrentes.
Ler artigoSegurança cibernética para SaaS e startups
SaaS e startups devem começar por cloud posture, AppSec no CI/CD, cadência de pentest e o compliance que a venda enterprise exige. Veja a ordem certa.
Ler artigoSOC e MDR como serviço: quando faz sentido
Quando contratar SOC e MDR como serviço em vez de montar um time interno, como comparar as opções e o que exigir de um provedor de detecção e resposta.
Ler artigoTipos de Pentest: Black Box, White Box e Gray Box
Os tipos de pentest: black box, white box e gray box, testes por escopo (rede, web, API, mobile) e a diferença entre pentest e análise de vulnerabilidade.
Ler artigoPromptware Kill Chain: ataques a sistemas de IA
Prompt injection é apenas o acesso inicial. Nosso framework de sete estágios para testar sistemas de IA e mapear incidentes reais de 2025–2026.
Ler artigoOWASP LLM Top 10: guia prático
As dez categorias OWASP LLM: o que cada uma significa na prática e como testá-las com evidência reproduzível.
Ler artigoMITRE ATLAS x ATT&CK: mapeando ataques a modelos
ATT&CK descreve o adversário na infraestrutura; ATLAS descreve o que ele faz no modelo. Como cruzamos os dois em pentest de IA.
Ler artigoDo DGX Spark ao 8x B200: Como Prototipei Localmente e Treinei um Modelo Mamba-2 de 4B por €118
Uma jornada prática da prototipagem local no NVIDIA DGX Spark ao treinamento de um modelo de linguagem Mamba-2 de 4 bilhões de parâmetros usando 8x GPUs B200 em infraestrutura cloud — tudo por apenas €118.
Ler no Medium